Internal procedure for reporting breaches of law

Internal procedure for reporting breaches of law and taking follow-up actions at Grape Up Sp. z o.o. of Kraków

§ 1. PURPOSE OF THE PROCEDURE

This Procedure has been developed in order to comply with the obligations of Grape Up Sp. z o.o. of Kraków resulting from:

the Polish Law of 14 June 2024 on the Protection of Whistleblowers;
Directive (EU) 2019/1937 of the European Parliament and of the Council of 23 October 2019 on the protection of persons who report breaches of Union law.

The purpose of this Procedure is to introduce an efficient system of reporting Breaches of Law at Grape Up Sp. z o.o. by means of laying down comprehensive regulations covering the reporting of Breaches of Law and diligent performance of Follow-Up Actions.
The purpose of this Procedure is also to protect Whistleblowers against potential Retaliation, as well as to prevent the negative consequences of Breaches of Law at Grape Up Sp. z o.o. through early identification and removal of the reported irregularities.

§ 2. DEFINITIONS

When used in this Procedure, the following terms shall have the following meaning:

Whistleblower – a natural person who reports or publicly discloses Information on Breaches acquired in a Work-Related Context, including:
a) an employee;
b) a temporary worker;
c) a person rendering work on a basis other than an employment relationship, including under a civil law agreement;
d) an entrepreneur;
e) a holder of procuration;
f) a shareholder or stockholder;
g) a member of a body of a legal person or an organization without legal personality;
h) a person rendering work under the supervision and management of a contractor, subcontractor, or supplier;
i) an intern;
j) a volunteer;
k) a trainee;
Member of the Management Board – a person responsible for receiving Internal Reports;
Follow-Up Action – an action taken by Grape Up in order to verify the truthfulness of the allegations made in a Report and to counteract the Breach of Law being the object of the Report, including but not limited to an investigation procedure, an inspection, administrative proceedings, an indictment, an action intended to recover funds, or closing proceedings carried out as part of this Procedure;
Retaliation – a direct or indirect action or omission in a Work-Related Context caused by a Report or a Public Disclosure, which violates or could violate the rights of the Whistleblower or which causes or could cause unjustified harm to the Whistleblower, including groundless initiation of proceedings against the Whistleblower;
Grape Up – Grape Up Sp. z o.o. of Kraków, ul. Hetmana Żółkiewskiego 17A, 31-539 Kraków, entered into the Register of Businesses, a part of the National Court Register, maintained by the District Court for Kraków-Śródmieście in Kraków, Division XI (National Court Register Cases), under number 0000513816, NIP (tax identification number): 945-217-93-09, REGON (statistical number): 123118640;
Information on Breaches – information, including a reasonable suspicion, concerning an actual or potential Breach of Law that has occurred or will likely occur at Grape Up or information concerning an attempt to conceal such a Breach of Law;
Feedback – information provided to the Whistleblower, concerning the planned or already taken Follow-Up Actions and the reasons for taking them;
Work-Related Context – past, current, or future activities related to carrying out work under an employment relationship or another legal relationship being the basis for rendering work at or providing services to Grape Up, in connection with which Information on Breaches is acquired and a possibility of Retaliation exists;
Breach of Law – an action or omission that is illegal or intended to circumvent the law, concerning:
a) corruption;
b) public procurement;
c) financial services, products, and markets
d )preventing money laundering and the financing of terrorism;
e) product safety and compliance;
f) transport safety;
g) environmental protection;
h) radiological protection and nuclear safety;
i) food and feedstuffs safety;
j) animal health and well-being;
k) public health;
l) consumer protection;
m) protection of privacy and personal data;
n) security of ICT networks and systems;
o) the financial interests of the State Treasury of the Republic of Poland, local governments, and the European Union;
p) the European Union’s internal market, including the principles of competition and state aid and the principles of taxation of legal persons;
q) constitutional freedoms and rights of man and of the citizen that exist in relationships between an individual and public authorities and are unrelated to the areas listed in a) trough p), above;
Public Authority – chief and central government administration authorities, local authorities of government administration, bodies of local governments, other state authorities, and other entities carrying out, by operation of law, public administration tasks, competent to take Follow-Up Actions in the areas listed in § 2(8), above;
Person Concerned – a natural person, a legal person, or an organization without legal personality that has legal capacity under statutory regulations, specified in a Report or a Public Disclosure as the perpetrator of a Breach of Law or as a person or entity the perpetrator of a Breach of Law is related to;
Facilitator – a natural person who assists the Whistleblower in filing a Report or making a Public Disclosure in a Work-Related Context and whose assistance should not be disclosed;
Person Related to the Whistleblower – a natural person who may suffer Retaliation, including an associate or a close one of the Whistleblower (i.e., spouse, ascendant, descendant, sibling, relative by affinity of the same line or degree, a person remaining in a relationship of adoption and his or her spouse, as well as a person remaining in cohabitation);
People Operations Manager – the person responsible for receiving Internal Reports;
Employee – a person carrying out paid-for work for Grape Up or rendering paid-for work on a basis other than an employment relationship, irrespective of what this basis may be;
Procedure – this internal procedure of reporting Breaches of Law and taking Follow-Up Actions at Grape Up;
GDPR – Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (OJ L 119 of 2016, p. 1, as amended);
Public Disclosure – an act of publicly disclosing Information on Breaches;
Report – an Internal Report or an External Report;
Internal Report – a report filed with Grape Up in accordance with § 4 of this Procedure;
External Report – providing Information on Breaches to the Polish Ombudsman or a Public Authority.

§ 3. PROTECTION OF WHISTLEBLOWERS

A Whistleblower shall enjoy the protection specified in this § 3 from the moment of filing a Report or making a Public Disclosure, provided that he or she had reasonable reasons to believe that the information being the object of the Report or the Public Disclosure was true at the moment of filing the Report or making the Public Disclosure and that it constituted Information on Breaches.
No Retaliation, attempts at Retaliation, or threats of Retaliation may be made with respect to a Whistleblower.
With respect to a Whistleblower, no Retaliation may be carried out, consisting in particular in the following actions, attempts at such actions, or threats of such actions:
a) refusal to establish an employment relationship or another legal relationship being the basis for carrying out paid-for work for Grape Up;
b) termination, with or without observing the notice period, of the employment relationship or another legal relationship being the basis for carrying out paid-for work for Grape Up;
c) termination of, with or without observing the notice period, or withdrawal from an agreement the Whistleblower is a party to, including but not limited to an agreement concerning the sale or delivery of goods or the provision of services;
d) refusal to execute a fixed-term employment contract or an open-ended employment contract following the termination of a trial period employment contract, refusal to execute another fixed-term employment contract, or refusal to execute an open-ended employment contract after the termination of a fixed-term employment contract—in a situation where the Whistleblower has a justified expectation that such a contract will be executed with him or her;
e) reduction of remuneration for work;
f) suspension of promotion or passing over during a promotion;
g) passing over when granting work-related benefits other than remuneration;
h) transferring to a lower position;
i) suspension in performing employee or official duties;
j) transferring the Whistleblower’s existing duties to another Employee;
k) negative change of workplace or working time;
l) negative evaluation of work or work results;
m) imposition or application of a disciplinary measure, including a financial penalty, or a similar measure;
n) coercion, intimidation, or exclusion;
o) mobbing;
p) discrimination;
q) unfavorable or unfair treatment;
r) suspension of participation in or passing over in selecting for participation in training seminars that improve professional qualifications;
s) unjustified referral to a medical check-up, including a psychiatric evaluation, unless separate legal regulations provide for such a possibility;
t) actions intended to make it difficult to find employment in the given sector or industry on the basis of a formal or informal sector or industry agreement;
u) imposition of an obligation, refusal to grant a right, restriction of a right, or deprivation of a right, including but not limited to a license, a permission, or a relief;
v) causing a financial loss, including an economic loss, or loss of income;
w) causing other non-financial damage, including a violation of personality rights, especially to the reputation of the Whistleblower.
The protection referred to in § 3(3), above, shall not apply if:
a) the necessity or need for Grape Up to take the actions listed in § 3(3)(a)– (m), (r), (u), and (v) above, is a result of objective circumstances that are unrelated to the fact of reporting a Breach of Law;
b) the Whistleblower consciously reports false or misleading information;
c) the Whistleblower files the Report with respect to an area not covered by this Procedure.
A person filing a Report while knowing that a Breach of Law did not take place shall be subject to the criminal liability specified in the Polish Law on Whistleblowers.
The Whistleblower’s personal data allowing for identifying him or her shall not be disclosed to unauthorized persons, except:
a) if the Whistleblower expressly agrees to such disclosure;
b) in a situation where the disclosure of the Whistleblower’s details is a necessary and proportional obligation resulting from legal regulations, in connection with the investigations carried out by Public Authorities or preparatory or court proceedings carried out by courts, including in order to guarantee the Person Concerned with the right to defend.
The protection referred to in this § 3 shall also apply to a Facilitator and a Person Related to the Whistleblower.
Grape Up shall guarantee that this Procedure and the processing of personal data related to receiving Reports make it impossible for unauthorized persons to access the information contained in the Report and ensure the protection of the identity of the Whistleblower, the Person Concerned, and the third parties mentioned in the Report. This protection shall concern the information on the basis of which these persons could be directly or indirectly identified.

§ 4. INTERNAL REPORTING

A person who holds Information on Breaches acquired in a Work-Related Context should file an Internal Report in accordance with this § 4. This person should act in good faith and in public interest, based on reasonable factual circumstances.
An Internal Report may be filed:
a) openly, if the Whistleblower agrees to the disclosure of his or her identity;
b) confidentially, the Whistleblower does not agree to the disclosure of his or her details and these details are not disclosed;
c) anonymously, if the identity of the Whistleblower cannot be determined in any way.
Grape Up provides the following channels for filing an Internal Report:
a) by e-mail, to complaints@grapeup.com, which may be accessed by the People Operations Manager and the Member of the Management Board; and
b) by sending a letter via regular mail to the following correspondence address: Grape Up Sp. z o.o., Hetmana Żółkiewskiego 17A, 31-539 Kraków, addressed to the People Operations Manager, with a note on the envelope reading “Internal report” or another similar note allowing for identifying the letter as an Internal Report.
A Report filed via the channels specified in § 4(3), above, may be open, confidential, or anonymous.
The above channels for filing an Internal Report are also available to counterparties, business partners, suppliers, and persons carrying out any activities for or on behalf of Grape Up.
The persons authorized to receive Internal Reports are the Member of the Management Board and the People Operations Manager.
In order to ensure efficient processing of Internal Reports, the People Operations Manager and the Member of the Management Board shall perform the following tasks:
a) receiving Internal Reports sent by e-mail;
b) communicating with the Whistleblower, including confirming the receipt of the Report within seven days of receiving it, unless the Whistleblower does not provide his or her contact details;
c) working with the Internal Commission in order to verify the information contained in the Internal Report;
d) maintaining the Register of Reports in accordance with § 7;
e) providing information and support with respect to the forms of filing an Internal Report.
The Report should contain the following elements, provided that they are known to the Whistleblower:
a) a detailed description of the facts;
b) the date and place of the event or the date and place of acquiring information about the Breach of Law;
c) the personal data and the roles of the persons involved or the elements that could allow for their identification;
d) specification of the documents that could confirm the legitimacy of the reported facts;
e) specification of the person and/or organizational unit the Report concerns;
f) the address to which Feedback should be provided.
Only the persons holding a written authorization from Grape Up may be permitted to receive and verify Reports, take Follow-Up Actions, and process the personal data of the Whistleblower, the Person Concerned, and the third parties mentioned in the Report. The authorized persons shall maintain confidentiality in terms of the information and personal data they acquire as part of receiving or verifying Reports and taking Follow-Up Actions, including after the termination of the employment relationship or another legal relationship under which they carried out that work.
If the Breach of Law concerns the People Operations Manager, the Report should be sent to the registered office of Grape Up, with a note on the envelope reading “Do not open—to the hands of the Member of the Management Board of Grape Up”.
A Whistleblower who wants to file a Report following the procedure specified in § 4(10), above, should provide a detailed description of the Breach of Law in the letter.
The Employee or contractor responsible for handling correspondence shall immediately notify the Member of the Management Board about receiving correspondence with a note reading “Do not open—to the hands of the Member of the Management Board of Grape Up”, forwarding the correspondence without opening the envelope and reading its contents.
Only the Member of the Management Board of Grape Up shall have access to correspondence marked as “Do not open—to the hands of the Member of the Management Board of Grape Up”.
The Reports received in accordance with the procedure specified in § 4(10)–4(13) shall be processed in accordance with this Procedure, considering the need to maintain confidentiality.

§ 5. FOLLOW-UP ACTIONS

The entity authorized to take Follow-Up Actions shall be the Internal Commission, which in each individual case shall be appointed by the Management Board of Grape Up. The Internal Commission shall be composed of the persons authorized by the Management Board who have the relevant competences to carry out Follow-Up Actions with respect to the specific Report and who guarantee impartiality and independence.
In order to evaluate the truthfulness of the information contained in the Report and counteract the Breach of Law being the object of the Report, the Internal Commission shall carry out an investigation.
If a Report is filed anonymously or if the Whistleblower does not provide a contact address, the Internal Commission shall carry out a preliminary analysis of the Report, verifying the circumstances described in the Report. If, following the preliminary analysis of the Report, it is determined that a Breach of Law may have taken place, the Internal Commission shall initiate an investigation. If the Report is groundless or impossible to verify, the Internal Commission shall not take any further actions with respect to the Report. Every Internal Report filed anonymously shall be entered into the Register of Internal Reports, in accordance with § 7 of this Procedure. If no further actions are taken with respect to a Report, the reasons for such a decision shall be specified in the Register of Internal Reports.
The Employees of all of the departments of Grape Up shall cooperate with the Internal Commission to the extent necessary to determine the circumstances of and the person involved in behaviors that could constitute a Breach of Law. In particular, the Internal Commission may demand access to personal data, official e-mails, and other documents or resources necessary to determine if the behavior under examination constitutes a Breach of Law.
In order to facilitate the Internal Commission in carrying out its tasks, Grape Up shall authorize the members of the Commission to process the personal data of the Employees of Grape Up to the necessary extent.
The Internal Commission shall immediately present to the Management Board of Grape Up proposals of the Follow-Up Actions to be taken with respect to the perpetrator of the Breach of Law and recommendations intended to eliminate and prevent future Breaches of Law as well as to eliminate or minimize the risk of putting Grape Up at risk of damage caused by the Breach of Law.
The investigation should be carried out in a manner allowing for collecting evidence that may be a basis for the Management Board of Grape Up to make decisions and, in specific cases, also for the relevant state authorities to process the case further.
The investigation should be initiated without undue delay and Feedback, including the results of the investigation, should be provided to the Whistleblower within not more than three months, unless the Whistleblower does not specify a contact address.
If the behavior under examination is likely to be considered a Breach of Law, the Management Board of Grape Up shall be immediately notified.
The final evaluation of the evidence presented by the Internal Commission shall be made by the Management Board of Grape Up. On the basis of that evaluation, the Management Board of Grape Up shall make the relevant decisions and take the relevant actions, including but not limited to reorganization and disciplinary actions. In justified cases, the Management Board of Grape Up shall decide to forward the information and the evidence collected to the relevant state authorities.

§ 6. EXTERNAL REPORTING

A Whistleblower may file an External Report without filing an Internal Report first, especially if:
a) by the deadlines for taking Follow-Up Actions and providing Feedback, as specified in this Procedure, Grape Up fails to take Follow-Up Actions or provide the Whistleblower with Feedback; or
b) the Whistleblower has justified reasons to believe that the Breach of Law may be a direct or obvious threat to public interest, including but not limited to a risk of irreversible damage; or
c) filing an Internal Report would put the Whistleblower at risk of Retaliation; or
d) in the case of an Internal Report, there is a low probability of Grape Up efficiently counteracting the Breach of Law due to the special circumstances of the case, such as the possibility of concealing or destroying evidence, collusion between Grape Up and the perpetrator of the Breach of Law, or Grape Up being involved in the Breach of Law.
External Reports are received by the Polish Ombudsman or by a Public Authority if the report concerns a Breach of Law in an area for which this Authority is competent (e.g. the Polish Financial Supervision Authority, the Polish Office for the Protection of Competition and Consumers, the General Inspector for Financial Information).
If the External Report contains Information on Breaches, the Polish Ombudsman shall immediately, within not more than 14 days of receiving the Report, forward the Report to the Public Authority competent to take Follow-Up Actions.
An External Report shall be filed with a Public Authority in accordance with that Authority’s procedure for receiving External Reports and taking Follow-Up Actions.

§ 7. REGISTER OF REPORTS

Internal Reports shall be registered in the Register of Internal Reports maintained in an electronic form by the People Operations Manager. The Register of Internal Reports concerning the People Operations Manager shall be maintained separately by the Member of the Management Board, with no involvement from the People Operations Manager.
The Register of Internal Reports shall contain at least:
a) the number of the Report;
b) the object of the Breach of Law;
c) the personal data of the Whistleblower, unless the Report is anonymous;
d) the personal data of the Person Concerned;
e) the Whistleblower’s contact address, unless none has been provided;
f) the date of filing the Internal Report;
g) information concerning the Follow-Up Actions taken;
h) the date of closing the case.
Only the following persons and entities shall have access to the Register of Internal Reports:
a) the Management Board of Grape Up, except where the Report concerns a Member of the Management Board—in such a case, the other Members of the Management Board shall have access to the Register of Internal Reports;
b) the People Operations Manager, except where the Report concerns the People Operations Manager;
c) state authorities authorized to take actions in connection with the Breach of Law (law enforcement authorities, courts).
The Register of Internal Reports shall be maintained in compliance with the principles of confidentiality.
Personal data and other information contained in the Register of Internal Reports shall be stored for three years from the end of the calendar year in which the Follow-Up Actions were completed or the proceedings initiated as a result of these Actions were completed.

§ 8. PUBLIC DISCLOSURE

A Whistleblower making a Public Disclosure shall be subject to protection if he or she:
a) files an Internal Report followed by an External Report and Grape Up and then the Public Authority, by the deadline for providing Feedback, does not take the relevant Follow-Up Actions and does not provide the Whistleblower with Feedback, or
b) files an External Report without filing an Internal Report first and the Public Authority, by the deadline for providing Feedback specified in its internal procedure, does not take the relevant Follow-Up Actions and does not provide the Whistleblower with Feedback,- unless the Whistleblower does not provide a contact address to which Feedback should be sent.
A Whistleblower making a Public Disclosure shall be subject to protection also if he or she has justified reasons to believe that:
a) the Breach of Law could constitute a direct or obvious threat to public interest, especially if there is a risk of irreversible damage, or
b) filing an External Report would put the Whistleblower at a risk of Retaliation, or
c) in the case of an External Report, there is a low probability of efficiently counteracting the Breach of Law due to the special circumstances of the case, such as the possibility of concealing or destroying evidence, collusion between the Public Authority and the perpetrator of the Breach of Law, or the Public Authority being involved in the Breach of Law.

§ 9. PERSONAL DATA PROTECTION

The process of receiving and verifying the Reports, taking Follow-Up Actions, and the related processing of personal data shall be organized in a manner preventing unauthorized persons from obtaining access to the information covered with the Report and guaranteeing protection of the identity of the Whistleblower, the Person Concerned, and the third parties mentioned in the Report. This protection shall concern the information on the basis of which these persons could be directly or indirectly identified.
The persons authorized to receive and verify Reports, take Follow-Up Actions, and process personal data in connection with the examination of a Report shall keep strictly confidential all of the facts learned in the course of these actions and in connection with them. The authorized persons shall maintain confidentiality in terms of the information and personal data they acquire as part of receiving or verifying Reports and taking Follow-Up Actions, including after the termination of the employment relationship or another legal relationship under which they carried out that work.
At the same time, the persons referred to in § 9(2) shall receive a written authorization from Grape Up to carry out actions related to receiving and verifying Reports, taking Follow-Up Actions, and processing personal data in connection with the examination of the Reports.
Grape Up shall guarantee that the persons responsible for carrying out the actions covered with this Procedure are trained in terms of the obligation to keep confidential the information they have access to in connection with performing these tasks.
All of the information and documents collected in connection with examining a Report should be stored using the relevant security measures that make it impossible for unauthorized persons to learn their contents.
The personal data processed in connection with accepting the Report or taking Follow-Up Actions and the documents related to that Report shall be stored by Grape Up for three years from the end of the calendar year in which the Follow-Up Actions were completed or the proceedings initiated as a result of these Actions were completed.
After the end of the storage period specified in § 9(6), above, Grape Up shall erase personal data and destroy the documents related to the Report. The personal data that is irrelevant for the examination of the Report shall not be collected, and if accidentally collected, it shall be immediately erased. The erasure of this personal data shall take place not later than within 14 days of determining that it is irrelevant for the case.

§ 10. FINAL PROVISIONS

The matters not regulated in this Procedure shall be governed by the generally applicable legal regulations, including but not limited to the relevant provisions of Directive (EU) 2019/1937 of the European Parliament and of the Council of 23 October 2019 on the protection of persons who report breaches of Union law.
This Procedure comes into effect on 25^th of October 2024, seven days after being notified to the Employees.

Wewnętrzna procedura dokonywania zgłoszeń naruszeń prawa i podejmowania działań następczych w Grape up sp. z o.o. z siedzibą w Krakowie

§ 1 CEL PROCEDURY

Niniejsza Procedura została stworzona w celu wykonania obowiązków Grape up Sp. z o.o. z siedzibą w Krakowie wynikających z:

Ustawy z dnia 14 czerwca 2024 r. o ochronie sygnalistów,
Dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r.w sprawie ochrony osób zgłaszających przypadki naruszenia prawa Unii.

Procedura ma na celu ukształtowanie efektywnego systemu informowania o naruszeniach prawa w Grape Up Sp. z o.o. poprzez stworzenie kompleksowej regulacji obejmującej problematykę ujawniania Naruszeń prawa oraz rzetelnego prowadzenia Działań następczych.
Celem Procedury jest również ochrona Sygnalistów przed ewentualnymi Działaniami odwetowymi, a także zapobiegnięcie negatywnym skutkom Naruszeń prawa w Grape Up Sp. z o.o. poprzez wczesne wykrycie i usunięcie zgłoszonych przypadków nieprawidłowości.

§ 2 DEFINICJE

Określenia użyte w niniejszej Procedurze oznaczają:

Sygnalista – osoba fizyczna, która zgłasza lub ujawnia publicznie Informację o naruszeniu prawa uzyskaną w Kontekście związanym z pracą, w tym:
a) pracownik;
b) pracownik tymczasowy;
c) osoba świadcząca pracę na innej podstawie niż stosunek pracy, w tym na podstawie umowy cywilnoprawnej;
d) przedsiębiorca;
e) prokurent;
f) akcjonariusz lub wspólnik;
g) członek organu osoby prawnej lub jednostki organizacyjnej nieposiadającej osobowości prawnej;
h) osoba świadcząca pracę pod nadzorem i kierownictwem wykonawcy, podwykonawcy lub dostawcy;
i) stażysta;
j) wolontariusz;
k) praktykant;
Członek Zarządu – osoba odpowiedzialna za przyjmowanie Zgłoszeń wewnętrznych;
Działanie następcze – działanie podjęte przez Grape Up w celu oceny prawdziwości zarzutów zawartych w Zgłoszeniu oraz w celu przeciwdziałania Naruszeniu prawa, będącego przedmiotem Zgłoszenia, w szczególności przez postępowanie wyjaśniające, wszczęcie kontroli lub postępowania administracyjnego, wniesienie oskarżenia, działanie podjęte w celu odzyskania środków finansowych lub zamknięcie postępowania realizowanego w ramach niniejszej Procedury;
Działanie odwetowe – bezpośrednie lub pośrednie działanie lub zaniechanie w Kontekście związanym z pracą, które jest spowodowane Zgłoszeniem lub Ujawnieniem publicznym i które narusza lub może naruszyć prawa Sygnalisty lub wyrządza lub może wyrządzić nieuzasadnioną szkodę Sygnaliście, w tym bezpodstawne inicjowanie postępowań przeciwko Sygnaliście;
Grape Up – Grape Up Sp. z o.o. z siedzibą w Krakowie, adres: ul. Hetmana Żółkiewskiego 17A, 31-539 Kraków, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego przez Sąd Rejonowy dla Krakowa-Śródmieścia w Krakowie XI Wydział Gospodarczy KRS pod numerem 0000513816, NIP: 945-217-93-09, REGON: 123118640;
Informacja o naruszeniu prawa – informacja, w tym uzasadnione podejrzenie dotyczące zaistniałego lub potencjalnego Naruszenia prawa, do którego doszło lub prawdopodobnie dojdzie w Grape Up lub informacja dotycząca próby ukrycia takiego Naruszenia prawa;
Informacja zwrotna – przekazana Sygnaliście informacja na temat planowanych lub podjętych Działań następczych i ich powodów;
Kontekst związany z pracą – przeszłe, obecne lub przyszłe działania związane z wykonywaniem pracy na podstawie stosunku pracy lub innego stosunku prawnego stanowiącego podstawę świadczenia pracy lub usług lub pełnienia funkcji w Grape Up lub na jego rzecz, w ramach których uzyskano Informację o naruszeniu prawa oraz istnieje możliwość doświadczenia Działań odwetowych;
Naruszenie prawa – działanie lub zaniechanie niezgodne z prawem lub mające na celu obejście prawa dotyczące:
a) korupcji;
b) zamówień publicznych;
c) usług, produktów i rynków finansowych;
d) przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu;
e) bezpieczeństwa produktów i ich zgodności z wymogami;
f) bezpieczeństwa transportu;
g) ochrony środowiska;
h) ochrony radiologicznej i bezpieczeństwa jądrowego;
i) bezpieczeństwa żywności i pasz;
j) zdrowia i dobrostanu zwierząt;
k) zdrowia publicznego;
l) ochrony konsumentów;
m) ochrony prywatności i danych osobowych;
n) bezpieczeństwa sieci i systemów teleinformatycznych;
o) interesów finansowych Skarbu Państwa RP, jednostki samorządu terytorialnego oraz Unii Europejskiej;
p) rynku wewnętrznego Unii Europejskiej, w tym zasad konkurencji i pomocy państwa oraz opodatkowania osób prawnych;
q) konstytucyjnych wolności i praw człowieka i obywatela – występujące w stosunkach jednostki z organami władzy publicznej i niezwiązane z dziedzinami wskazanymi w lit. a) – p);
Organ publiczny – naczelne i centralne organy administracji rządowej, terenowe organy administracji rządowej, organy jednostek samorządu terytorialnego, inne organy państwowe oraz inne podmioty wykonujące z mocy prawa zadania z zakresu administracji publicznej, właściwe do podejmowania Działań następczych w dziedzinach wskazanych w punkcie 8 powyżej;
Osoba, której dotyczy zgłoszenie – osoba fizyczna, osoba prawna lub jednostka organizacyjna nieposiadającą osobowości prawnej, której ustawa przyznaje zdolność prawną, wskazana w Zgłoszeniu lub Ujawnieniu publicznym jako osoba, która dopuściła się Naruszenia prawa, lub jako osoba, z którą osoba, która dopuściła się Naruszenia prawa, jest powiązana;
Osoba pomagająca w dokonaniu zgłoszenia – osoba fizyczna, która pomaga Sygnaliście w Zgłoszeniu lub Ujawnieniu publicznym w Kontekście związanym z pracą i której pomoc nie powinna zostać ujawniona;
Osoba powiązana z Sygnalistą – osoba fizyczna, która może doświadczyć Działań odwetowych, w tym współpracownik lub osoba najbliższa wobec Sygnalisty (tj. małżonek, wstępny, zstępny, rodzeństwo, powinowaty w tej samej linii lub stopniu, osoba pozostająca w stosunku przysposobienia oraz jej małżonek, a także osoba pozostająca we wspólnym pożyciu);
People Operations Manager – osoba odpowiedzialna za przyjmowanie Zgłoszeń wewnętrznych;
Pracownik – osoba wykonująca na rzecz Grape Up pracę zarobkową lub świadcząca pracę za wynagrodzeniem na innej podstawie niż stosunek pracy, niezależnie od podstawy zatrudnienia;
Procedura – niniejsza Wewnętrzna procedura dokonywania zgłoszeń naruszeń prawa i podejmowania działań następczych w Grape Up;
RODO – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn. zm.);
Ujawnienie publiczne – podanie Informacji o naruszeniu prawa do wiadomości publicznej;
Zgłoszenie – Zgłoszenie wewnętrzne lub Zgłoszenie zewnętrzne;
Zgłoszenie wewnętrzne – zgłoszenie przekazane do Grape Up na zasadach określonych w § 4 niniejszej Procedury;
Zgłoszenie zewnętrzne – przekazanie Rzecznikowi Praw Obywatelskich albo Organowi publicznemu Informacji o naruszeniu prawa.

§ 3 OCHRONA SYGNALISTY

Sygnalista podlega ochronie określonej w niniejszym paragrafie od chwili dokonania Zgłoszenia lub Ujawnienia publicznego, pod warunkiem, że miał uzasadnione podstawy sądzić, że informacja będąca przedmiotem Zgłoszenia lub Ujawnienia publicznego jest prawdziwa w momencie dokonywania Zgłoszenia lub Ujawnienia publicznego i że stanowi Informację o naruszeniu prawa.
Wobec Sygnalisty nie mogą być podejmowane Działania odwetowe ani próby lub groźby zastosowania takich Działań.
Wobec Sygnalisty nie mogą być podejmowane Działania odwetowe, polegające w szczególności na zastosowaniu lub próbie bądź groźbie zastosowania następujących działań:
a) odmowie nawiązania stosunku pracy lub innego stosunku prawnego będącego podstawą wykonywania pracy zarobkowej na rzecz Grape Up;
b) wypowiedzeniu lub rozwiązaniu bez wypowiedzenia stosunku pracy lub innego stosunku prawnego będącego podstawą wykonywania pracy zarobkowej na rzecz Grape Up;
c) wypowiedzeniu umowy, której stroną jest Sygnalista, w szczególności dotyczącej sprzedaży lub dostawy towarów lub świadczenia usług, odstąpienie od takiej umowy lub rozwiązanie jej bez wypowiedzenia;
d) niezawarciu umowy o pracę na czas określony lub umowy o pracę na czas nieokreślony po rozwiązaniu umowy o pracę na okres próbny, niezawarciu kolejnej umowy o pracę na czas określony lub niezawarciu umowy o pracę na czas nieokreślony po rozwiązaniu umowy o pracę na czas określony – w przypadku, gdy Sygnalista miał uzasadnione oczekiwanie, że zostanie z nim zawarta taka umowa;
e) obniżeniu wysokości wynagrodzenia za pracę lub świadczenie usług;
f) wstrzymaniu awansu albo pominięciu przy awansowaniu;
g) pominięciu przy przyznawaniu innych niż wynagrodzenie świadczeń związanych z pracą lub obniżeniu wysokości tych świadczeń;
h) przeniesieniu na niższe stanowisko;
i) zawieszeniu w wykonywaniu obowiązków pracowniczych lub służbowych;
j) przekazaniu innemu Pracownikowi dotychczasowych obowiązków Sygnalisty;
k) niekorzystnej zmianie miejsca wykonywania pracy lub rozkładu czasu pracy;
l) negatywnej ocenie wyników pracy lub negatywnej opinii o pracy;
m) nałożeniu lub zastosowaniu środka dyscyplinarnego, w tym kary finansowej, lub środka o podobnym charakterze;
n) przymusie, zastraszaniu lub wykluczeniu;
o) mobbingu;
p) dyskryminacji;
q) niekorzystnym lub niesprawiedliwym traktowaniu;
r) wstrzymaniu udziału lub pominięciu przy typowaniu do udziału w szkoleniach podnoszących kwalifikacje zawodowe;
s) nieuzasadnionym skierowaniu na badania lekarskie, w tym badania psychiatryczne, chyba że przepisy odrębne przewidują możliwość skierowania Pracownika na takie badania;
t) działaniu zmierzającym do utrudnienia znalezienia w przyszłości zatrudnienia w danym sektorze lub w danej branży na podstawie nieformalnego lub formalnego porozumienia sektorowego lub branżowego;
u) nałożenie obowiązku lub odmowę przyznania, ograniczenie lub odebranie uprawnienia, w szczególności koncesji, zezwolenia lub ulgi;
v) spowodowaniu straty finansowej, w tym gospodarczej, lub utraty dochodu;
w) wyrządzeniu innej szkody niematerialnej, w tym naruszeniu dóbr osobistych, w szczególności dobrego imienia Sygnalisty.
Ochrona, o której mowa w ust. 3 powyżej nie przysługuje w przypadku, gdy:
a) konieczność lub potrzeba podjęcia przez Grape Up działań, o których mowa w ust. 3 lit. a) – m), r), u), v) powyżej wynika z okoliczności obiektywnych, niezwiązanych z faktem Zgłoszenia Naruszenia prawa;
b) Sygnalista świadomie zgłasza nieprawdziwe lub wprowadzające w błąd informacje;
c) Sygnalista dokonuje Zgłoszenia w zakresie dziedziny nie objętej niniejszą Procedurą.
Osoba, która dokonuje Zgłoszenia wiedząc, że do naruszenia prawa nie doszło, narażona jest na odpowiedzialność karną przewidzianą w ustawie o ochronie sygnalistów.
Dane osobowe Sygnalisty pozwalające na ujawnienie jego tożsamości nie będą ujawniane nieupoważnionym osobom, z wyjątkiem:
a) udzielenia przez Sygnalistę wyraźnej zgody na ujawnienie jego danych,
b) sytuacji, gdy ujawnienie danych Sygnalisty jest koniecznym i proporcjonalnym obowiązkiem wynikającym z przepisów prawa, w związku z postępowaniami wyjaśniającymi prowadzonymi przez organy publiczne lub postępowaniami przygotowawczymi lub sądowymi prowadzonymi przez sądy, w tym w celu zagwarantowania prawa do obrony przysługującego osobie, której dotyczy Zgłoszenie.
Ochronie określonej w niniejszym paragrafie podlega również Osoba pomagająca w dokonaniu zgłoszenia oraz Osoba powiązana z Sygnalistą.
Grape Up gwarantuje, że niniejsza Procedura oraz przetwarzanie danych osobowych związane z przyjmowaniem Zgłoszeń uniemożliwiają nieupoważnionym osobom uzyskanie dostępu do informacji objętych Zgłoszeniem oraz zapewniają ochronę poufności tożsamości Sygnalisty, Osoby, której dotyczy Zgłoszenie, oraz osób trzecich wskazanych w Zgłoszeniu. Ochrona poufności dotyczy informacji, na podstawie których można bezpośrednio lub pośrednio zidentyfikować tożsamość tych osób.

§ 4 ZGŁOSZENIA WEWNĘTRZNE

Osoby, które posiądą Informację o Naruszeniu prawa uzyskaną w Kontekście związanym z pracą, powinny dokonać Zgłoszenia wewnętrznego w sposób określony w niniejszym paragrafie. Osoby te powinny działać w dobrej wierze oraz w interesie publicznym, a także w oparciu o racjonalne okoliczności faktyczne.
Zgłoszenia wewnętrzne dokonywane mogą być w sposób:
a) jawny – gdy Sygnalista zgadza się na ujawnianie swojej tożsamości;
b) poufny – gdy Sygnalista nie zgadza się na ujawnienie swoich danych i dane te nie są ujawniane;
c) anonimowy – gdy w żaden sposób nie można zidentyfikować tożsamości Sygnalisty.
Grape Up zapewnia następujące kanały dokonywania Zgłoszeń wewnętrznych:
a) za pośrednictwem poczty elektronicznej, na adres e-mail: complaints@grapeup.com, do której dostęp ma People Operations Manager oraz Członek Zarządu lub;
b) w formie listu sporządzonego w formie pisemnej na adres do korespondencji: Grape Up Sp. z o.o. Hetmana Żółkiewskiego 17A, 31-539 Kraków, skierowanego do People Operations Managera, z dopiskiem „Zgłoszenie wewnętrzne” lub innym podobnym dopiskiem, pozwalającym na zidentyfikowanie listu jako Zgłoszenia wewnętrznego.
Zgłoszenie dokonane za pośrednictwem kanałów wskazanych w ust. 3 powyżej może być jawne, poufne lub anonimowe.
Powyższe kanały Zgłoszeń wewnętrznych dostępne są również dla kontrahentów, partnerów biznesowych, dostawców oraz osób wykonujących jakiekolwiek czynności w imieniu lub na rzecz Grape Up.
Osobami upoważnionymi do przyjmowania Zgłoszeń wewnętrznych są Członek Zarządu i People Operations Manager.
W celu zapewnienia sprawnego funkcjonowania procesu obsługi Zgłoszeń wewnętrznych People Operations Manager i Członek Zarządu realizują następujące zadania:
a) odbierają Zgłoszenia wewnętrzne przesłane za pośrednictwem poczty elektronicznej;
b) prowadzą komunikację z Sygnalistą, w tym potwierdzają przyjęcie Zgłoszenia w terminie 7 dni od dnia jego otrzymania, chyba że Sygnalista nie podał adresu do kontaktu;
c) współpracują z Komisją Wewnętrzną w celu weryfikacji informacji zawartych w Zgłoszeniu wewnętrznym;
d) prowadzą Rejestr zgłoszeń, zgodnie z § 7;
e) udzielają informacji i wsparcia w zakresie sposobów dokonywania Zgłoszeń wewnętrznych.
Zgłoszenie powinno zawierać następujące elementy, jeżeli są one znane Sygnaliście:
a) szczegółowy opis zaistniałych faktów;
b) datę i miejsce, w którym nastąpiło zdarzenie lub datę i miejsce pozyskania informacji o Naruszeniu prawa
c) dane osobowe i rolę osób zaangażowanych lub elementy, które mogą umożliwić ich identyfikację
d) wskazanie dokumentów, które mogą potwierdzić zasadność zgłoszonych faktów
e) wskazanie osoby i/lub komórki organizacyjnej, której dotyczy Zgłoszenie
f) adres, na który przekazana ma zostać Informacja zwrotna.
Do przyjmowania i weryfikacji Zgłoszeń, podejmowania Działań następczych oraz przetwarzania danych osobowych Sygnalisty, Osoby, której dotyczy zgłoszenie, oraz osób trzecich wskazanych w Zgłoszeniu, mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie przez Grape Up. Osoby upoważnione są obowiązane do zachowania tajemnicy w zakresie informacji i danych osobowych, które uzyskały w ramach przyjmowania i weryfikacji Zgłoszeń, oraz podejmowania Działań następczych, także po ustaniu stosunku pracy lub innego stosunku prawnego, w ramach którego wykonywały tę pracę.
Jeżeli Naruszenie dotyczy People Operations Managera Zgłoszenie należy przesłać na adres siedziby Grape Up wraz z dopiskiem „nie otwierać – do rąk własnych Członka Zarządu Grape Up”.
Sygnalista chcący dokonać Zgłoszenia w trybie, o którym mowa w ust. 10 powyżej powinien zawrzeć w przesyłce dokładny opis Naruszenia prawa.
Pracownik lub współpracownik odpowiedzialny za obsługę korespondencji zawiadamia niezwłocznie Członka Zarządu o otrzymaniu korespondencji z dopiskiem „nie otwierać – do rąk własnych Członka Zarządu Grape Up”, przekazując korespondencję bez otwierania koperty i bez zapoznawania się z jej treścią.
Dostęp do korespondencji z dopiskiem „nie otwierać – do rąk własnych Członka Zarządu Grape Up” posiada wyłącznie Członek Zarządu Grape Up.
Postępowanie ze Zgłoszeniem otrzymanym w trybie ust. 10-13 odbywa się zgodnie z postanowieniami niniejszej Procedury z uwzględnieniem konieczności zachowania poufności.

§ 5 DZIAŁANIA NASTĘPCZE

Podmiotem upoważnionym do podejmowania Działań następczych jest Komisja Wewnętrzna, powołana każdorazowo przez Zarząd Grape Up. W skład Komisji Wewnętrznej wchodzić będą upoważnione przez Zarząd osoby mające odpowiednie kompetencje do prowadzenia Działań następczych w odniesieniu do konkretnego Zgłoszenia oraz zapewniające bezstronność i niezależność.
W celu oceny prawdziwości informacji zawartych w Zgłoszeniu oraz w celu przeciwdziałania Naruszeniu prawa będącego przedmiotem Zgłoszenia Komisja Wewnętrzna przeprowadza postępowanie wyjaśniające.
W przypadku Zgłoszeń dokonanych w sposób anonimowy lub w przypadku, gdy Sygnalista nie wskazał adresu do kontaktu, Komisja Wewnętrzna dokonuje wstępnej analizy Zgłoszenia, weryfikując przytoczone w nim okoliczności. Jeżeli po dokonaniu wstępnej analizy Zgłoszenia ustalono, że mogło dojść do Naruszenia, Komisja Wewnętrzna wszczyna postępowanie wyjaśniające. W przypadku bezzasadności Zgłoszenia lub niemożliwości jego weryfikacji, Komisja Wewnętrzna pozostawia Zgłoszenie bez dalszego biegu. Każde Zgłoszenie wewnętrzne dokonane w sposób anonimowy podlega wpisowi do Rejestru zgłoszeń wewnętrznych, zgodnie z § 7 Procedury. W przypadku, gdy Zgłoszenie zostanie pozostawione bez dalszego biegu, należy wskazać w Rejestrze zgłoszeń wewnętrznych przyczyny uzasadniające taką decyzję.
Pracownicy wszystkich działów Grape Up zobowiązani są do współpracy z Komisją Wewnętrzną w zakresie niezbędnym do ustalenia okoliczności i osób zaangażowanych w zachowania mogące stanowić Naruszenie prawa. Komisja Wewnętrzna może żądać w szczególności dostępu do danych osobowych, służbowej skrzynki mailowej lub innych dokumentów lub zasobów niezbędnych do ustalenia czy oceniane zachowanie stanowi Naruszenie prawa.
W celu realizacji zadań Komisji Wewnętrznej, Grape Up zapewnia upoważnienie członkom tej Komisji do przetwarzania danych osobowych Pracowników Grape Up w niezbędnym zakresie.
Komisja Wewnętrzna niezwłocznie przedstawia Zarządowi Grape Up propozycje zastosowania Działań następczych w stosunku do osoby, która dokonała Naruszenia prawa oraz rekomendacje w celu wyeliminowania i zapobiegania Naruszeniom prawa w przyszłości, jak również wyeliminowania lub zminimalizowania ryzyka narażenia Grape Up na szkody spowodowane Naruszeniem prawa.
Postępowanie wyjaśniające powinno być prowadzone w sposób umożliwiający zebranie materiału dowodowego, który może być podstawą do podjęcia decyzji przez Zarząd Grape Up, a w określonych sytuacjach także dalszego procedowania przez odpowiedni organ państwowy.
Postępowanie wyjaśniające powinno zostać wszczęte bez zbędnej zwłoki, a Informacja zwrotna, w tym wyniki tego postępowania, powinny zostać przedstawione Sygnaliście w terminie nieprzekraczającym 3 miesięcy, chyba że Sygnalista nie wskazał adresu do kontaktu.
Jeżeli oceniane zachowanie z dużym prawdopodobieństwem może zostać uznane za Naruszenie prawa, informacja ta przekazywana jest niezwłocznie do Zarządu Grape Up.
Do Zarządu Grape Up należy ostateczna ocena materiału dowodowego dostarczonego przez Komisję Wewnętrzną. Na podstawie przedmiotowej oceny Zarząd Grape Up podejmuje odpowiednie decyzje i działania, w szczególności działania reorganizacyjne lub dyscyplinujące. W uzasadnionych przypadkach Zarząd Grape Up podejmuje decyzję o przekazaniu informacji wraz ze zgromadzonym materiałem dowodowym do odpowiednich organów państwowych.

§ 6 ZGŁOSZENIA ZEWNĘTRZNE

Sygnalista może dokonać Zgłoszenia zewnętrznego bez uprzedniego dokonania Zgłoszenia wewnętrznego w szczególności, gdy:
a) w terminach na podjęcie Działań następczych oraz przekazanie Informacji zwrotnej określonych w Procedurze, Grape Up nie podejmie Działań następczych lub nie przekaże Sygnaliście Informacji zwrotnej, lub;
b) Sygnalista ma uzasadnione podstawy by sądzić, że Naruszenie prawa może stanowić bezpośrednie lub oczywiste zagrożenie dla interesu publicznego, w szczególności istnieje ryzyko nieodwracalnej szkody, lub;
c) dokonanie Zgłoszenia wewnętrznego narazi Sygnalistę na Działania odwetowe, lub;
d) w przypadku dokonania Zgłoszenia wewnętrznego istnieje niewielkie prawdopodobieństwo skutecznego przeciwdziałania Naruszeniu prawa przez Grape Up z uwagi na szczególne okoliczności sprawy, takie jak możliwość ukrycia lub zniszczenia dowodów lub możliwość istnienia zmowy między Grape Up a sprawcą Naruszenia prawa lub udziału Grape Up w Naruszeniu prawa.
Zgłoszenie zewnętrzne jest przyjmowane przez Rzecznika Praw Obywatelskich albo Organ publiczny, gdy zgłoszenie dotyczy naruszeń w dziedzinie należącej do zakresu działania tego Organu (np. KNF, UOKIK, czy GIIF).
Jeżeli Zgłoszenie zewnętrzne dotyczy informacji o Naruszeniu prawa, Rzecznik Praw Obywatelskich niezwłocznie, nie później jednak niż w terminie 14 dni od dnia dokonania Zgłoszenia, przekazuje zgłoszenie do Organu publicznego właściwego do podjęcia Działań następczych.
Zgłoszenie do Organów publicznych następuje zgodnie z ustaloną przez te organy procedurą przyjmowania Zgłoszeń zewnętrznych oraz podejmowania Działań następczych.

§ 7 REJESTR ZGŁOSZEŃ

Zgłoszenia wewnętrzne podlegają rejestracji w Rejestrze zgłoszeń wewnętrznych prowadzonym w formie elektronicznej przez People Operations Managera. Rejestr zgłoszeń wewnętrznych dotyczących People Operations Managera prowadzi osobno Członek Zarządu Grape Up, z wyłączeniem People Operations Managera.
Rejestr zgłoszeń wewnętrznych zawiera co najmniej:
a) numer Zgłoszenia;
b) przedmiot Naruszenia prawa;
c) dane osobowe Sygnalisty, chyba że Zgłoszenie jest anonimowe;
d) dane osobowe Osoby, której dotyczy zgłoszenie;
e) adres do kontaktu Sygnalisty, chyba że nie został wskazany;
f) datę dokonania Zgłoszenia wewnętrznego;
g) informację o podjętych Działaniach następczych;
h) datę zakończenia sprawy.
Dostęp do Rejestru zgłoszeń wewnętrznych przysługuje wyłącznie:
a) Zarządowi Grape Up – z wyjątkiem sytuacji, gdy Zgłoszenie dotyczy Członka Zarządu, wtedy dostęp do Rejestru zgłoszeń wewnętrznych przysługuje pozostałym Członkom Zarządu;
b) People Operations Managerowi z wyjątkiem sytuacji, gdy Zgłoszenie dotyczy People Operations Managera;
c) organom państwowym uprawnionym do podejmowania działań w związku z Naruszeniem prawa (organom ścigania, sądom).
Rejestr zgłoszeń wewnętrznych prowadzony jest z zachowaniem zasad poufności.
Dane osobowe oraz pozostałe informacje w rejestrze zgłoszeń wewnętrznych są przechowywane przez okres 3 lat po zakończeniu roku kalendarzowego, w którym zakończono Działania następcze, lub po zakończeniu postępowań zainicjowanych tymi Działaniami.

§ 8 UJAWNIENIE PUBLICZNE

Sygnalista dokonujący Ujawnienia publicznego podlega ochronie, jeżeli dokona:
a) Zgłoszenia wewnętrznego, a następnie Zgłoszenia zewnętrznego, a Grape Up, a następnie Organ publiczny w terminie na przekazanie Informacji zwrotnej nie podejmą żadnych odpowiednich Działań następczych ani nie przekażą Sygnaliście Informacji zwrotnej lub
b) od razu Zgłoszenia zewnętrznego, a Organ publiczny w terminie na przekazanie Informacji zwrotnej ustalonym w swojej procedurze zewnętrznej nie podejmie żadnych odpowiednich działań następczych ani nie przekaże Sygnaliście Informacji zwrotnej- chyba, że Sygnalista nie podał adresu do kontaktu, na który należy przekazać taką informację.
Sygnalista dokonujący Ujawnienia publicznego podlega ochronie także w przypadku, gdy ma uzasadnione podstawy sądzić, że:
a) naruszenie może stanowić bezpośrednie lub oczywiste zagrożenie interesu publicznego, w szczególności, gdy istnieje ryzyko nieodwracalnej szkody, lub
b) dokonanie Zgłoszenia zewnętrznego narazi Sygnalistę na Działania odwetowe, lub
c) w przypadku dokonania Zgłoszenia zewnętrznego istnieje niewielkie prawdopodobieństwo skutecznego przeciwdziałania naruszeniu prawa z uwagi na szczególne okoliczności sprawy, takie jak możliwość ukrycia lub zniszczenia dowodów, istnienia zmowy między organem publicznym a sprawcą naruszenia lub udziału organu publicznego w naruszeniu.

§ 9 OCHRONA DANYCH OSOBOWYCH

Proces przyjmowania i weryfikacji Zgłoszeń, podejmowania Działań następczych oraz związanego z tym przetwarzania danych osobowych zorganizowany jest w sposób uniemożliwiający uzyskanie dostępu do informacji objętych Zgłoszeniem nieupoważnionym osobom oraz zapewniający ochronę poufności tożsamości Sygnalisty, Osoby, której dotyczy Zgłoszenie oraz osób trzecich wskazanych w Zgłoszeniu. Ochrona poufności dotyczy informacji, na podstawie których można bezpośrednio lub pośrednio zidentyfikować tożsamość takich osób.
Osoby upoważnione do przyjmowania i weryfikacji Zgłoszeń, podejmowania Działań następczych oraz przetwarzania danych osobowych w związku z rozpatrywaniem Zgłoszenia zobowiązane są do zachowania bezwzględnej poufności co do wszystkich faktów poznanych w toku tych działań i w związku z nimi. Osoby upoważnione są obowiązane do zachowania tajemnicy w zakresie informacji i danych osobowych, które uzyskały w ramach przyjmowania i weryfikacji Zgłoszeń oraz podejmowania Działań następczych, także po ustaniu stosunku pracy lub innego stosunku prawnego, w ramach którego wykonywały tę pracę.
Jednocześnie osoby, o których mowa w ust. 2 otrzymują pisemne upoważnienie od Grape Up do dokonywania działań związanych z przyjmowaniem i weryfikacją Zgłoszeń, podejmowania Działań następczych oraz przetwarzania danych osobowych w związku z rozpatrywaniem Zgłoszeń.
Grape Up zapewnia przeszkolenie osób odpowiedzialnych za realizację zadań objętych niniejszą Procedurą, w zakresie obowiązku zachowania w poufności informacji, do których mają dostęp w związku z wykonywaniem tych zadań.
Wszystkie informacje i dokumenty zgromadzone w związku z rozpatrywaniem Zgłoszenia powinny być przechowywane z zastosowaniem odpowiednich zabezpieczeń, uniemożliwiających zapoznanie się z ich treścią przez osoby nieupoważnione.
Dane osobowe przetwarzane w związku z przyjęciem Zgłoszenia lub podjęciem Działań następczych oraz dokumenty związane z tym Zgłoszeniem są przechowywane przez Grape Up przez okres 3 lat po zakończeniu roku kalendarzowego, w którym zakończono Działania następcze, lub po zakończeniu postępowań zainicjowanych tymi Działaniami.
Po upływie okresu przechowywania wskazanego w ust. 6 powyżej, Grape Up usuwa dane osobowe oraz niszczy dokumenty związane ze Zgłoszeniem. Dane osobowe, które nie mają znaczenia dla rozpatrywania Zgłoszenia nie są zbierane, a w razie przypadkowego zebrania, są niezwłocznie usuwane. Usunięcie tych danych osobowych następuje nie później niż w terminie 14 dni od chwili ustalenia, że nie mają one znaczenia dla sprawy.

§ 10 POSTANOWIENIA KOŃCOWE

W sprawach nieuregulowanych niniejszą Procedurą zastosowanie mają przepisy powszechnie obowiązującego prawa, w szczególności, odpowiednie przepisy dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii.
Niniejsza Procedura wchodzi w życie z dniem 25 października 2024 r. po upływie 7 dni od dnia podania jej do wiadomości Pracowników.